近日，360 公司 Vulcan （伏爾甘）團隊宣佈發現了區塊鏈平臺 EOS 的一系列高危安全漏洞。經驗證，其中部分漏洞可以在 EOS 節點上遠程執行任意代碼，即可以通過遠程攻擊，直接控制和接管 EOS 上運行的所有節點。
29 日凌晨，360 第一時間將該類漏洞上報 EOS 官方，並協助其修復安全隱患。EOS 網絡負責人表示，在修復這些問題之前，不會將 EOS 網絡正式上線。而周鴻禕則稱此次發現的漏洞價值超過「百億美金」。
在此次 EOS 的高危漏洞中，攻擊者會構造併發布包含惡意代碼的智能合約，EOS 超級節點將會執行這個惡意合約，並觸發其中的安全漏洞。攻擊者再利用超級節點將惡意合約打包進新的區塊，進而導致網絡中所有全節點（備選超級節點、交易所充值提現節點、數字貨幣錢包服務器節點等）被遠程控制。
由於已經完全控制了節點的系統，攻擊者可以「為所欲為」，如竊取 EOS 超級節點的密鑰，控制 EOS 網絡的虛擬貨幣交易；獲取 EOS 網絡參與節點系統中的其他金融和隱私數據，例如交易所中的數字貨幣、保存在錢包中的用戶密鑰、關鍵的用戶資料和隱私數據等等。
更有甚者，攻擊者可以將 EOS 網絡中的節點變為殭屍網絡中的一員，發動網絡攻擊或變成免費「礦工」，挖取其他數字貨幣。
360 首席安全工程師鄭文彬迴應：
5 月 28 日 12 點把漏洞提交給 BM，BM 凌晨完成了部分修復。目前這個漏洞僅僅是 EOS 網絡的漏洞，但這是在智能合約虛擬機中發現的新型安全漏洞，是前所未有的安全風險。
比原鏈創始人段新星表示，本次事件是一個利用數組越界漏洞可導致內存溢出的問題，獲得超級權限覆蓋掉 WASM 填寫新的可執行代碼進去，然後進行惡意操作。這種漏洞很常見，並不能成為史詩級的漏洞。BM 第一次是加了 Assert 判定檢查，其實也可以包一個安全函數來操作。
比原鏈首席架構師 James 指出，EOS 想做分佈式服務就意味著它會面臨相對於比特幣更多的問題和挑戰。 類似於 EOS 這種不收 gas 的機制，以後也許還會遇到很多複雜的問題。相對而言，有些方面比原虛擬機有收 gas 機制就不會碰到，搞溢出會直接因為內存使用收 gas 導致虛擬機報錯退出。比原鏈與 EOS 一樣都是做底層公鏈技術，都是在慢慢摸索前進方向，不斷的修正錯誤，逐步成長起來。
截止事件結束，據 EOS 官方消息人士稱：BM 已經修復了這個漏洞。
鏈聞 ChainNews：提供每日不可或缺的區塊鏈新聞。
原文作者：比原鏈
鏈聞編譯：YY
版權聲明：文章為作者獨立觀點，不代表 鏈聞 ChainNews 立場。